Mes ressources favorites pour le DevSecOps

Cette page rassemble les sources de veille que je consulte réellement pour suivre l'écosystème DevOps et DevSecOps : blogs francophones, blogs d'éditeurs, chaînes vidéo, podcasts, livres, communautés et conférences. Elle sert à deux choses : construire votre propre veille technique sans partir de zéro, et retrouver rapidement une source quand vous cherchez un retour d'expérience sur un outil précis.

Les entrées sont classées par format (lecture, vidéo, audio) puis par thème. Il ne s'agit pas d'un classement de qualité : ce sont les flux que je suis.

Sites parlant du DevOps

Le blog reste le format le plus dense pour la veille technique : un article se relit, se cite et se retrouve par recherche, contrairement à une vidéo. J'ai séparé les blogs personnels, souvent plus francs sur les échecs, des blogs de sociétés, plus orientés études de cas et choix d'architecture.

Pour tout récupérer d'un coup, j'ai déposé mon export feedly avec l'ensemble des flux RSS et Atom que je suis : feedly.opml. Ce fichier OPML s'importe dans n'importe quel agrégateur (Feedly, Miniflux, FreshRSS, Thunderbird) et évite de saisir les adresses une par une. Je le mets à jour régulièrement.

Blogs perso

Ces auteurs publient sous leur nom, sans relecture marketing. C'est là que vous trouverez les retours d'expérience les plus directs : la migration qui a mal tourné, l'outil abandonné après six mois, le homelab documenté étape par étape. La fréquence de publication y est très irrégulière, d'où l'intérêt de passer par un agrégateur RSS plutôt que de visiter chaque site à la main.

Sociétés

Les blogs d'ESN, d'éditeurs et d'hébergeurs publient plus régulièrement, avec des articles souvent plus longs et mieux relus. Gardez en tête le biais commercial : un article publié par un éditeur valorise rarement une solution concurrente. Lisez la démarche technique, la méthodologie et les chiffres, puis vérifiez la conclusion ailleurs avant d'engager un choix d'architecture.

Des sites d'actualités

Ces sites ne produisent pas de contenu original : ils agrègent et classent des liens soumis par une communauté francophone. Leur intérêt est le signal faible, un outil qui remonte plusieurs fois en une semaine mérite un coup d'œil. Filtrez par tag plutôt que de lire le flux entier, sinon le volume devient ingérable.

Framework Heroes: Cliquez sur le tag DevOps
Les Humans Coders News est aussi un site français qui propose des liens vers des articles classés par Tag.
Le journal du hacker

Livres

Sélection des références que j'utilise ou que je recommande, organisées par thème. Les livres anglais sont indispensables, l'écosystème DevOps publie en VO d'abord. Un livre a un avantage que le blog n'a pas : il impose une progression construite au lieu d'un empilement d'articles isolés. En contrepartie, il vieillit vite dès qu'il parle d'une version d'outil, vérifiez toujours l'édition avant d'acheter.

Culture DevOps (français)

Commencez par là si le mot DevOps reste flou pour vous, ou si vous devez convaincre une direction. Ces ouvrages traitent d'organisation, de flux de valeur et de conduite du changement, pas de commandes. Les deux derniers de la liste sont gratuits en ligne : de quoi tester le sujet sans dépenser un euro.

Découvrir DevOps - 2e éd., L'essentiel pour tous les métiers
Mettre en œuvre DevOps - 3e éd., Comment évoluer vers une DSI agile
DevOps - Intégrez et déployez en continu, Ernesto Leite
Automatisation : de Python à Ansible, Alex Faivre & Gilbert Moïio (livre en ligne gratuit)
Le DevOps pour transformer les institutions, Flavien Berwick (livre en ligne gratuit)

Culture DevOps (anglais)

Ces trois titres forment le socle théorique le plus cité du domaine, et ils se lisent dans cet ordre. Le premier est un roman d'entreprise, le deuxième la mise en pratique des Three Ways, le troisième la base statistique des métriques DORA que vous croiserez dans toutes les discussions sur la performance de livraison.

The Phoenix Project, Gene Kim : le roman fondateur du mouvement DevOps
The DevOps Handbook, 2e éd., Kim, Humble, Debois, Willis : la mise en pratique des Three Ways et CALMS
Accelerate, Forsgren, Humble, Kim : la recherche scientifique derrière DORA

Infrastructure as Code

Deux ouvrages qui couvrent les deux outils les plus déployés du domaine. Ils partagent la même qualité : les auteurs montrent le code de production, pas seulement l'exemple de démonstration. Attention à la version couverte, la syntaxe Terraform et le comportement des collections Ansible ont suffisamment bougé pour qu'une édition ancienne induise en erreur.

Ansible for DevOps, Jeff Geerling : la référence Ansible
Terraform: Up & Running, 3e édition, Yevgeniy Brikman (Gruntwork)

Conteneurs et Kubernetes

Le premier titre sert de porte d'entrée sur Docker, les deux suivants couvrent Kubernetes du concept à l'exploitation, et le dernier bascule côté sécurité. Si vous ne deviez en garder qu'un pour comprendre ce qui se passe vraiment dans un conteneur, prenez celui de Liz Rice : il descend au niveau des namespaces et des cgroups du noyau Linux, ce qui débloque la lecture de tous les autres.

Docker Deep Dive, Nigel Poulton : mises à jour annuelles
Kubernetes in Action, 2e éd., Marko Luksa : 800 pages, à jour 1.27+
Production Kubernetes, Rosso, Lander, Brand, Harris : opérer K8s en prod
Container Security, Liz Rice : namespaces, cgroups, isolation, runtime

Virtualisation et homelab

Une seule référence ici, parce que le sujet se documente surtout en ligne. Elle garde son intérêt pour la partie clustering, ZFS et Ceph : ce sont les points où un homelab Proxmox se casse la figure quand on improvise, et où la documentation officielle reste très factuelle sans expliquer les compromis.

Mastering Proxmox, 3rd Edition, Wasim Ahmed : clustering, ZFS, Ceph

Langages (Go, Python, LLM)

Ces livres s'adressent à qui automatise plutôt qu'à qui développe une application. Les deux premiers partent d'un besoin d'infrastructure (appeler une API cloud, manipuler des fichiers de configuration, écrire un outil interne) et introduisent le langage au fil de l'eau. Le troisième sort du cadre DevOps mais répond à une question devenue courante : ce qu'un LLM fait réellement quand il produit du texte.

Go for DevOps, John Doak & David Justice : Go appliqué à l'infra
Python for DevOps, Varghese Chacko : automatisation infra, CI/CD et conteneurs
Build a Large Language Model From Scratch, Sebastian Raschka : comprendre les LLM

Sécurité

Deux approches complémentaires : le premier est un livre de recettes, à garder ouvert à côté du clavier quand vous durcissez un serveur ; le second prend le point de vue de l'attaquant. Lire du contenu offensif n'est pas une coquetterie, c'est ce qui rend concrètes les contre-mesures que vous appliquez ensuite en production.

Linux Security Cookbook, Daniel J. Barrett : 150+ recettes pratiques
Hacking: The Art of Exploitation, Jon Erickson : techniques d'exploitation côté attaquant

Linux et certifications

Le premier ouvrage comble le trou le plus fréquent chez les profils qui arrivent au DevOps par le développement : la maîtrise réelle du shell. Le second est un guide de préparation à l'examen EX200 (RHCSA) ; il ne vaut que si vous visez la certification, car son plan suit les objectifs de Red Hat plutôt qu'une progression pédagogique.

The Linux Command Line, William Shotts : référence ligne de commande
RHCSA Red Hat Enterprise Linux 9 Cert Guide, préparation EX200

Les liens vers Amazon sont affiliés. Acheter via ces liens soutient le site sans surcoût pour vous.

Communautés

Une communauté apporte ce qu'aucun article ne donne : une réponse contextuelle à un problème précis, souvent en moins d'une heure. Les serveurs Discord ci-dessous sont les plus actifs côté francophone, les deux associations organisent des meetups en présentiel. Avant de poser une question, cherchez dans l'historique du salon : la plupart des problèmes d'installation y ont déjà été traités.

MOOC et cours en ligne

Ces parcours conviennent à qui veut une progression balisée plutôt qu'une collection d'articles. Vérifiez systématiquement la date de mise à jour : un cours DevOps de plus de trois ans enseigne souvent des versions d'outils qui ne s'installent plus telles quelles, notamment côté conteneurs et CI/CD. La playlist de xavki reste utile pour son volume et sa progression pas à pas.

Chaînes YouTube

La vidéo est le bon format pour voir une manipulation complète : une installation qui échoue, le message d'erreur réel, la correction. C'est ce que le texte capture mal. Le revers est la péremption : une démonstration d'interface change à chaque version majeure de l'outil. Regardez la date de publication avant de suivre une procédure pas à pas.

Chaînes Twitch

Le live apporte ce que la vidéo montée retire : les hésitations, les recherches dans la documentation, les erreurs corrigées en direct. C'est formateur quand on débute, parce que la démarche de débogage devient visible. Les diffusions sont irrégulières, activez les notifications plutôt que de guetter le planning.

Des comptes LinkedIn

LinkedIn est devenu un canal de publication à part entière sur les sujets cybersécurité et DevSecOps, avec des analyses courtes publiées avant les articles longs. Le format se prête aux annonces de vulnérabilités et aux retours de conférence, moins aux tutoriels. Suivez les personnes plutôt que les pages d'entreprise, le rapport signal sur bruit y est meilleur.

Laurent Minne

Podcasts

Le podcast couvre le contexte et les arbitrages, pas la manipulation : c'est le format qui répond au « pourquoi cette architecture » plutôt qu'au « quelle commande taper ». Il occupe aussi un temps où vous ne pouvez pas lire, trajet ou tâche répétitive. Les épisodes d'entretien vieillissent bien, contrairement aux tutoriels.

Dans ton kube Parle de Kubernetes
DevObs Le magazine et observatoire du DevOps
Electro Monkeys Les concepts et les technologies cloud natives
Émission libre à vous de l'april #154
Message à caractère informatique
Radio DevOps Le mouvement DevOps
WeSpeakCloud Les problématiques complexes comme la sécurité ou le DevOps

Conférences

Assister à une conférence sert autant pour les couloirs que pour les sessions : c'est là que vous entendez ce qui a échoué, information rarement présente sur scène. Si vous souhaitez présenter, surveillez les dates de CFP (Call For Papers), qui se ferment souvent quatre à six mois avant l'événement.

Une liste de toutes les conférences tech (Dev, DevOps, etc) avec les dates de CFP est disponible sur ce site : https://developers.events/

Les chaînes YouTube des conférences

La plupart des conférences francophones publient leurs captations en accès libre, en général quelques semaines après l'événement. C'est le meilleur rapport temps investi sur contenu appris de cette page : une session dure trente à quarante-cinq minutes et condense un retour d'expérience complet, avec les chiffres et les limites rencontrées.